Breizh-Info s’arrêtera le 31 décembre s’il manque 60 000 euros
Depuis 2013, vous lisez Breizh-Info gratuitement. Le journal ne vit que de ses lecteurs : sans votre soutien d’ici la fin de l’année, il n’y aura pas de Breizh-Info en 2027.
7 350 € réunis sur 60 000 € (12 %) — il manque encore 52 650 €.
Donner par PayPal
Virement ou chèque
Lire l’appel en entier
Chers lecteurs, chères lectrices,
Les caisses de Breizh-Info sont vides. Pour tenir une année de plus, il nous faut 60 000 euros avant le 31 décembre. Si cette somme n’est pas réunie, le site cessera de paraître, 13 ans après sa fondation.
Depuis 2013, Breizh-Info vous informe chaque jour, en accès libre : des articles, des enquêtes, des entretiens, une revue de presse quotidienne, et une voix bretonne qui dit ce que la presse installée tait ou travestit.
Pas un euro d’argent public
Pendant que les grands titres de la presse encaissent chaque année les aides publiques, Breizh-Info fonctionne sans subvention d’État, sans milliardaire actionnaire et sans la manne publicitaire des grands groupes. Cette indépendance a un prix : nous ne dépendons que de vous. Quand les dons ne suivent pas, personne ne vient combler le trou.
60 000 euros d’ici le 31 décembre
Cette somme correspond à une année de fonctionnement du journal, ni plus ni moins. Si chaque lecteur attend que les autres donnent, personne ne donnera. 2 minutes suffisent, ce soir plutôt que la semaine prochaine. 10 euros, 50 euros, 100 euros, 1 000 euros : chaque don compte. Et si vous le pouvez, optez pour un virement mensuel : c’est ce qui permet au journal de voir plus loin que le mois suivant.
Comment donner
PayPal : faire un don en ligne ([email protected])
Virement (mensuel si possible), à l’ordre de ASPA (pour Breizh Information)
IBAN : FR76 1220 6004 0056 0172 3120 604
BIC : AGRIFRPP822
Chèque à l’ordre de Breizh Information : BP 201, 29834 Karaez/Carhaix Cedex
Des cybercriminels pourraient effectuer des achats frauduleux en contournant l’écran de verrouillage Apple Pay d’un iPhone lorsque le portefeuille de l’appareil comporte une carte Visa configurée en mode dit « de transit ». Des chercheurs de l’Université de Birmingham et de l’Université du Surrey ont montré que les attaquants pouvaient également contourner la limite du sans contact pour effectuer des transactions illimitées à partir d’iPhones verrouillés.
L’article de recherche, intitulé Practical EMV Relay Protection, montre comment un attaquant pourrait abuser d’une combinaison de failles dans Apple Pay et Visa, expliquant que tout ce dont il aurait besoin pour mener une attaque est un iPhone volé et allumé. Les transactions illicites pourraient également être effectuées même si l’appareil se trouve dans les bagages de la victime.
Lorsqu’il effectue un paiement via une application pour smartphone, l’utilisateur doit généralement authentifier la transaction à l’aide de l’une des fonctions d’authentification biométrique intégrées à l’iPhone, comme un scan d’empreinte digitale ou Face ID, ou en saisissant un code PIN, ce qui réduit les risques d’attaques. Cependant, en mai 2019, Apple a introduit la fonctionnalité Express Transit/Travel qui permet d’utiliser Apple Pay sans déverrouiller le téléphone. La fonctionnalité a été introduite pour faciliter le paiement aux stations de barrière de billetterie de transport.
« Nous montrons que cette fonctionnalité peut être exploitée pour contourner l’écran de verrouillage d’Apple Pay, et payer illicitement depuis un iPhone verrouillé, à l’aide d’une carte Visa, vers n’importe quel lecteur EMV, pour n’importe quel montant, sans l’autorisation de l’utilisateur », explique l’article décrivant la méthode d’attaque. L’attaque est classée comme une attaque par rejeu et relais de type Man-in-the-Middle (MitM), type d’attaque dans laquelle l’attaquant intercepte une communication en assumant le rôle d’intermédiaire entre les deux victimes, tout en maintenant des liens indépendants avec chacun d’eux.
L’attaque nécessite que l’iPhone ait une carte Visa configurée pour le paiement avec le mode Express Travel activé, et que la victime soit à proximité de l’attaquant. Pour réaliser leur test, les chercheurs ont utilisé un Proxmark qui a servi d’émulateur de lecteur, et un téléphone Android compatible NFC qui a été utilisé comme émulateur de carte pour communiquer avec le terminal de paiement. « L’attaque fonctionne en rejouant d’abord les Magic Bytes à l’iPhone, de sorte qu’il croit que la transaction a lieu avec un lecteur EMV de transport. Ensuite, lors de la transmission des messages EMV, les qualificateurs de transaction du terminal (TTQ), envoyés par le terminal EMV, doivent être modifiés de manière à ce que les bits pour l’authentification des données hors ligne (ODA), les autorisations en ligne et le mode EMV soient activés », précisent les chercheurs.
Pour relayer les transactions qui dépassent la limite de paiement sans contact, les Card Transaction Qualifiers (CTQ) qui sont chargés de fixer les limites de transaction doivent être modifiés. « Cela permet de tromper le lecteur EMV en lui faisant croire que l’authentification de l’utilisateur sur l’appareil a été effectuée (par exemple, par empreinte digitale). La valeur CTQ apparaît dans deux messages envoyés par l’iPhone et doit être modifiée dans les deux occurrences », expliquent les chercheurs. Au cours de leur test, l’équipe a pu effectuer une transaction de 1 000 £ (environ 1 180 €). En utilisant deux téléphones Android équipés de la technologie NFC, l’équipe de recherche a également pu contourner le protocole de Visa utilisé pour stopper les attaques par relais pour les cartes de paiement.
Apple et Visa ont été informés de la faille de sécurité par les chercheurs et, bien que les deux sociétés aient reconnu la gravité de la vulnérabilité, elles n’ont pas encore trouvé d’accord sur celle qui doit déployer un correctif. Dans l’intervalle, il est conseillé aux utilisateurs de ne pas utiliser les cartes Visa en mode carte de transport lorsqu’ils utilisent Apple Pay.
Benoit Grunemwald
Crédit photo : DR
[cc] Breizh-info.com, 2021, dépêches libres de copie et de diffusion sous réserve de mention et de lien vers la source d’origine
